बग बाउंटी पर पैसा बनाने का आसान तरीका

निश्चित रूप से आप पहले से ही एक से अधिक बार "बैगहंटिंग" अभिव्यक्ति सुन चुके हैं, और मुझे यकीन है कि यदि आप किसी और के कार्यक्रम में संभावित भेद्यता पाते हैं, तो आप सौ (या हजारों) डॉलर की एक जोड़ी अर्जित करने से इनकार नहीं करेंगे। इस लेख में, मैं एक ऐसी ट्रिक के बारे में बात करूंगा जो इस तरह की कमजोरियों के लिए ओपन सोर्स प्रोजेक्ट्स को रिसर्च करने में मदद करेगी।

फ्री और ओपन सोर्स सॉफ्टवेयर पर बग बाउंटीज़ - यह क्या है?

बग बाउंटी विभिन्न कार्यक्रमों के लिए एक सामान्य नाम है जिसमें वेबसाइट और सॉफ्टवेयर डेवलपर्स बग और कमजोरियों को खोजने के लिए नकद पुरस्कार प्रदान करते हैं। ऐप्पल या माइक्रोसॉफ्ट जैसे बड़े निगमों के प्रसिद्ध बग बाउंटी कार्यक्रमों के अलावा, ओपन सोर्स प्रोजेक्ट्स में कमजोरियों की खोज करने के लिए भी कार्यक्रम हैं।

उनमें से कई HackerOne पर पाए जा सकते हैं, लेकिन शायद सबसे बड़ा FOSSA - फ्री और ओपन सोर्स सॉफ्टवेयर ऑडिट है। यह विभिन्न खुले स्रोत परियोजनाओं के लिए एक यूरोपीय संघ द्वारा प्रायोजित भेद्यता अनुसंधान कार्यक्रम है। कुल पुरस्कार पूल एक प्रभावशाली राशि है - जितना कि 850,000 यूरो!

कैसे भाग लें?

सबसे पहले आपको HackerOne पर रजिस्टर करना होगा । हमें उन परियोजनाओं की आवश्यकता होगी जो खुले स्रोत हैं। HackerOne की पूरी लिस्ट है ।

यदि यूरोपीय संघ से बग बाउंटी में भाग लेने की इच्छा है - इस कार्यक्रम में भाग लेने वाली परियोजनाओं की एक सूची यहां पाई जा सकती है । अधिकांश परियोजनाओं के लिए, यह HackerOne पर पंजीकृत होने के लिए पर्याप्त होगा, लेकिन उस सूची में सूचीबद्ध कई कार्यक्रम intigititi.com पर हैं।

भाग लेने के लिए, आपको अपने लिए उपयुक्त एक परियोजना का चयन करने की आवश्यकता है, और फिर ध्यान से भागीदारी की शर्तों को पढ़ें। यदि वे आपको संतुष्ट करते हैं, तो यह अभ्यास करने का समय है।

भेद्यता खोजने के लिए और अपना पैसा पाने के लिए, आपको बस परियोजना को डाउनलोड करने की आवश्यकता है (या इसे GitHub से क्लोन करें) और संभावित त्रुटियों के लिए प्रत्येक अभिव्यक्ति की जांच करते हुए, कोड की प्रत्येक पंक्ति का सावधानीपूर्वक विश्लेषण करें। यदि आपको ऐसा कुछ भी मिलता है जो कार्यक्रम की सुरक्षा को प्रभावित कर सकता है - इसे एक रिपोर्ट में लिखें और इसे डेवलपर्स को भेजें। यदि वे आपके मूल्य का प्रचार के रूप में मूल्यांकन करते हैं - आपका पैसा आपकी जेब में है :)।

रुको, हल्कापन कहाँ है?

और आसानी यह है कि कोड का विशेष रूप से मैन्युअल रूप से विश्लेषण करना आवश्यक नहीं है। स्वचालित मोड में कोड में त्रुटियों की खोज करने के लिए उपकरण हैं। उदाहरण के लिए, स्थिर कोड विश्लेषक। मैं हमारे विकास का उपयोग करना पसंद करता हूं - पीवीएस-स्टूडियो । पीवीएस-स्टूडियो विश्लेषक सी ++, सी # और जावा में लिखे गए कोड में त्रुटियों को खोजने में सक्षम है, और एक सुविधाजनक इंटरफ़ेस भी है। इसके अलावा, इसके मुफ्त उपयोग के लिए कई विकल्प हैं। कई अन्य कोड विश्लेषक भी हैं।

बेशक, स्थिर विश्लेषक सभी त्रुटियों से दूर का पता लगा सकते हैं। हाँ, और भगवान उन्हें आशीर्वाद दे! आखिरकार, हमारा लक्ष्य गलतियों को जल्दी और आसानी से खोजना है, और उन सभी को नहीं ढूंढना है।

प्रोजेक्ट डाउनलोड होने और इकट्ठे होने के बाद, विश्लेषण शुरू करने के लिए केवल कुछ ही क्लिक करना पर्याप्त होगा। परिणाम विश्लेषक द्वारा उत्पन्न चेतावनियों की कुछ (आमतौर पर काफी) मात्रा के साथ एक रिपोर्ट होगी। पीवीएस-स्टूडियो में उन्हें विश्वास के तीन स्तरों में वर्गीकृत किया गया है। आपको पहले स्तर की चेतावनियों से शुरुआत करनी चाहिए, इसलिए विश्लेषण परिणाम से नारंगी और पीले स्तर को फ़िल्टर किया जा सकता है।

फ़िल्टरिंग विश्लेषण परिणामों का एक उदाहरण।

इस प्रकार, यह केवल शेष चेतावनियों की समीक्षा करने और उन स्थानों से चयन करने के लिए बना हुआ है जो सबसे बड़ा खतरा बन सकते हैं। यह जांचना आवश्यक है कि क्या कार्यक्रम के संचालन के दौरान सीधे उनमें से किसी को पुन: उत्पन्न करना संभव है। यदि आप ऐसा करने में सफल होते हैं, तो यह न केवल उन अवसरों को बढ़ाएगा जो डेवलपर्स रिपोर्ट को स्वीकार करेंगे, बल्कि इससे भुगतान की मात्रा भी बढ़ेगी। इस मामले में, दृश्यता आपका सबसे अच्छा दोस्त है।

यह भी विचार करने योग्य है कि क्या त्रुटि मिली कार्यक्रम की सुरक्षा को प्रभावित करती है। वास्तव में, इस मामले में, आपको दी जाने वाली राशि कई गुना अधिक होगी :)

स्क्रीनशॉट विजुअल स्टूडियो इंटरफ़ेस दिखाता है। हालांकि, इससे मूर्ख मत बनो। विश्लेषक का उपयोग न केवल विज़ुअल स्टूडियो के लिए प्लग-इन के रूप में किया जा सकता है, बल्कि लिनक्स और मैकओएस में भी स्वतंत्र रूप से किया जा सकता है।

इस दृष्टिकोण के पेशेवरों

सबसे पहले, स्थैतिक विश्लेषक का उपयोग करना त्रुटियों को खोजने के सबसे आसान तरीकों में से एक है। कोड एनालाइजर का उपयोग करने के लिए, किसी विशेष ज्ञान का होना बिल्कुल भी आवश्यक नहीं है: आपको बस उस भाषा को समझने की आवश्यकता है जिसमें परीक्षण किया गया कोड लिखा गया है।

दूसरे, विश्लेषण करने वाले सावधान हैं। वे एक व्यक्ति के विपरीत, थक नहीं जाते हैं और सतर्कता नहीं खोते हैं। इसलिए, उनका उपयोग करके आप लगभग न्यूनतम लागत के साथ मनमाने ढंग से बड़े कोड अड्डों का विश्लेषण कर सकते हैं।

तीसरा, विश्लेषण करने वालों को अक्सर एक व्यक्ति की तुलना में अधिक ज्ञान होता है। इसका क्या मतलब है? मुझे एंड्रॉइड कर्नेल से कोड के उदाहरण पर अपना विचार बताएं:

static void FwdLockGlue_InitializeRoundKeys() { unsigned char keyEncryptionKey[KEY_SIZE]; .... memset(keyEncryptionKey, 0, KEY_SIZE); // Zero out key data. } 

ऐसा लगता है कि जहां कोई गलती हो सकती है?

यह पता चलता है कि संकलक, यह देखते हुए कि keyEnc एन्क्रिप्शनKey सरणी का उपयोग कहीं और नहीं किया गया है, कोड को अनुकूलित कर सकता है और मेमसेट फ़ंक्शन कॉल को इससे हटा सकता है। और वह यह केवल रिलीज़ कॉन्फ़िगरेशन में असेंबली के दौरान करेगा। सबकुछ ठीक हो जाएगा, लेकिन केवल कुछ समय के लिए रैम में एन्क्रिप्शन कुंजी अनलॉक रहेगी, इसलिए इसे एक हमलावर द्वारा प्राप्त किया जा सकता है। एक वास्तविक सुरक्षा छेद!

और आखिरकार, इस त्रुटि को स्वयं ढूंढना लगभग असंभव है: डिबग मोड में, मेमसेट कॉल ठीक काम करता है। और आपने इसके लिए कोई परीक्षण नहीं लिखा है ... यह केवल इस सुविधा के बारे में जानने और इसे स्वयं याद रखने के लिए बना हुआ है।

लेकिन क्या होगा अगर परियोजना के डेवलपर्स को इस सुविधा के बारे में पता नहीं है? यदि आप बग खोजते समय इस सुविधा के बारे में नहीं जानते हैं तो क्या होगा? यह विश्लेषक के लिए महत्वपूर्ण नहीं है, क्योंकि इसमें V597 डायग्नोस्टिक्स है, इसलिए, जब एक रिपोर्ट देखते हैं, तो आप निश्चित रूप से इसके बारे में जानेंगे।

अंत में, चौथा। बग बाउंटी का पीछा करते समय स्थैतिक विश्लेषण का उपयोग करने के सबसे उपयोगी लाभों में से एक गति है। हां, इसके साथ आप शाम को दो, तीन, चार परियोजनाओं की जांच कर सकते हैं - लेकिन यह सब नहीं है।

सबसे महत्वपूर्ण बात, आप पहले हो सकते हैं। जबकि किसी भी परियोजना में कीड़े खोजने के लिए एक इनाम की पेशकश की जाती है, परियोजना को अंतिम रूप दिया जाता है और विकसित किया जाता है। डेवलपर्स नई रिलीज़ और नई सुविधाओं को रोल आउट करते हैं, और उनके साथ त्रुटियों के लिए नए कोड और नए खुले स्थान आते हैं। मेरे द्वारा वर्णित दृष्टिकोण का उपयोग करना, उनके प्रकाशन के पहले ही दिन नई त्रुटियों और संभावित कमजोरियों की सटीक जांच करना संभव होगा।

संभावित कमजोरियाँ

चौकस पाठक हैरान हो सकता है:

रुक जाओ, रुक जाओ! एक ओर, यह कार्यक्रमों में त्रुटियों के लिए कोड में एक खोज को संदर्भित करता है, दूसरी ओर, संभावित कमजोरियों का उल्लेख किया जाता है। इसके अलावा, बग बाउंटी के दृष्टिकोण से कमजोरियां अधिक दिलचस्प हैं। कृपया स्पष्ट करें!

तथ्य यह है कि त्रुटियों और संभावित कमजोरियों अनिवार्य रूप से एक ही बात है। बेशक, आगे के शोध में केवल कुछ त्रुटियां / संभावित कमजोरियां वास्तविक कमजोरियां हो सकती हैं। हालांकि, एक हानिरहित गड़गड़ाहट और एक गंभीर भेद्यता कोड में बिल्कुल समान दिख सकती है। " कमजोरियों को खोजने में पीवीएस-स्टूडियो कैसे मदद कर सकता है? " लेख कई (पहली नज़र में साधारण) त्रुटियों को प्रस्तुत करता है, जिन्हें अब कमजोरियों के रूप में जाना जाता है।

वैसे, नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड एंड टेक्नोलॉजी (एनआईएसटी) की रिपोर्ट के अनुसार, अनुप्रयोगों में लगभग 64% कमजोरियां सॉफ़्टवेयर त्रुटियों से जुड़ी हैं, और सुरक्षा कमियों (सुरक्षा सुविधाओं की कमी नहीं) के साथ नहीं।

तो आत्मविश्वास से पीवीएस-स्टूडियो उठाएं और त्रुटियों और सुरक्षा दोषों की खोज शुरू करें! वैसे, CWE के अनुसार चेतावनियों का वर्गीकरण आपको इसमें मदद करेगा।

निष्कर्ष

मुझे उम्मीद है कि मैंने पाठक को बहुत बग ढूंढने में मदद की जो उसे थोड़ी मान्यता और मौद्रिक इनाम दिलाएगा। मुझे यकीन है कि स्थैतिक विश्लेषण उन्हें इसके साथ मदद करेगा! याद रखें कि डेवलपर्स, एक नियम के रूप में, आपके पास मिली त्रुटियों के विस्तृत विश्लेषण के लिए समय नहीं है, इसलिए आपको अभी भी यह साबित करना है कि आपका खोज वास्तव में कार्यक्रम को प्रभावित कर सकता है। सबसे अच्छा तरीका यह कल्पना करना होगा। और याद रखें: कोड में मजबूत बग सुरक्षा का उल्लंघन कर सकता है, जितना अधिक वे इसके लिए भुगतान करेंगे।

शायद यही सब है। आपका इनाम पाकर शुभकामनाएँ!

यदि आप इस लेख को अंग्रेजी बोलने वाले दर्शकों के साथ साझा करना चाहते हैं, तो कृपया अनुवाद के लिंक का उपयोग करें: जॉर्ज ग्रिबकोव। बग बाउंटी पर पैसा कमाने का एक आसान तरीका ।